فهرست مطالب
گوگل، اپل، موزیلا و توسعه‌دهندگان زبان برنامه‌نویسی Go پس از افشای کلیدهای خصوصی متعلق به شرکت هندی eMudhra، گواهی‌های دیجیتال مرتبط با آنها را برای جلوگیری از جعل هویت وب‌سایت‌ها مسدود کردند.
به گزارش سرویس امنیت سایبری تکناک، افشای این هشت کلید خصوصی، نگرانی‌هایی درباره امنیت ارتباطات اینترنتی ایجاد کرده است. این کلیدها به گواهی‌های میانی مراجع صدور گواهی دیجیتال (CA) تعلق داشتند و دسترسی غیرمجاز به آنها می‌توانست امکان صدور گواهی‌های جعلی و جعل هویت وب‌سایت‌ها و سرویس‌های معتبر را فراهم کند.
براساس گزارش دارک ریدینگ، شش کلید افشاشده برای صدور گواهی‌های TLS وب‌سایت‌ها استفاده می‌شدند و دو کلید دیگر برای امضای دیجیتال کدهای نرم‌افزاری کاربرد داشتند. شرکت‌های بزرگ فناوری پس از اطلاع از این رخداد، اقدامات فوری را برای جلوگیری از سوءاستفاده احتمالی از گواهی‌های آسیب‌دیده آغاز کردند.
بیشتر بخوانید: اطلاعات دو حفره امنیتی PHP پیش‌از انتشار رسمی افشا شد
مسدودسازی گواهی‌های دیجیتال
گوگل، موزیلا و اپل محدودیت‌های امنیتی جدید را از طریق سامانه‌های اختصاصی ابطال گواهی‌های دیجیتال اعمال کرده‌اند. این اقدامات مانع اعتماد مرورگرها و برنامه‌های تحت پوشش به گواهی‌هایی می‌شود که با کلیدهای خصوصی افشاشده امضا شده‌اند.
مهاجمان می‌توانند با دسترسی به چنین کلیدهایی، گواهی‌های دیجیتالی صادر کنند که ظاهرا معتبر هستند. این گواهی‌ها ممکن است برای جعل هویت وب‌سایت‌ها، فریب کاربران و رهگیری ارتباطات رمزگذاری‌شده مورد استفاده قرار گیرند.
با وجود این، اقدامات حفاظتی جدید به صورت خودکار شامل تمام نرم‌افزارها نمی‌شود. برنامه‌هایی که با زبان برنامه‌نویسی Go توسعه یافته‌اند، برای دریافت اصلاحات امنیتی باید با نسخه‌های وصله‌شده دوباره ساخته شوند.
توسعه‌دهندگان Go به کاربران توصیه کرده‌اند که فورا به نسخه‌های 1.27.3 و 1.26.10 ارتقا دهند. سایر نرم‌افزارها نیز بسته به نحوه مدیریت اعتماد به گواهی‌های دیجیتال ممکن است به به‌روزرسانی نیاز داشته باشند.
گوگل اعلام کرده است که سازوکار شفافیت گواهی دیجیتال (Certificate Transparency) در مرورگر کروم، حتی پیش از اعمال محدودیت‌های جدید، از اعتماد پیش‌فرض به گواهی‌های TLS آسیب‌دیده جلوگیری می‌کرد.
موزیلا نیز تأیید کرده است که کاربران دارای تنظیمات استاندارد فایرفاکس، بدون نیاز به به‌روزرسانی یا راه‌اندازی مجدد مرورگر، تحت پوشش این محدودیت‌ها قرار گرفته‌اند.
شرکت eMudhra در هند فعالیت می‌کند و خدماتی مانند صدور گواهی دیجیتال، احراز هویت اینترنتی، امضای الکترونیکی و زیرساخت کلید عمومی (PKI) ارائه می‌دهد.
بیشتر بخوانید: کاهش طول عمر گواهی‌های امنیتی TLS به ۶۴ روز
نحوه شناسایی کلیدهای خصوصی افشا شده eMudhra
جزئیات دقیق زمان و نحوه افشای کلیدهای خصوصی eMudhra همچنان نامشخص است. هنوز شواهد قطعی درباره استفاده مهاجمان از این کلیدها برای صدور گواهی‌های جعلی منتشر نشده است.
دنیس جکسون، عضو تیم مهندسی رمزنگاری موزیلا اعلام کرد که این شرکت نخستین بار در ۱۷ اکتبر از طریق پژوهشگری امنیتی با نام مستعار «وین» (Wayne) از رخداد مطلع شد. این پژوهشگر برای اثبات دسترسی خود به هشت کلید خصوصی، با استفاده از هر کلید یک امضای دیجیتال برای پیام کوتاه یکسانی ایجاد کرد. متن پیام چنین بود: «ما اینجا یک مشکل داریم – وین.»
این آزمایش نشان داد که پژوهشگر به کلیدهای خصوصی مرتبط با هر هشت مرجع صدور گواهی میانی دسترسی دارد.
موزیلا حدود سه ساعت پس از دریافت گزارش، فرایند مسدودسازی گواهی‌های آسیب‌دیده را تکمیل کرد. این شرکت از سامانه OneCRL استفاده کرد که در سال ۲۰۱۵ برای توزیع متمرکز اطلاعات ابطال گواهی‌ها معرفی شده بود.
جکسون توضیح داد که موزیلا، مایکروسافت، اپل و کروم با استفاده از ابزارهایی مانند OneCRL، CRLite و CRLSets اقدامات حفاظتی لازم را برای کاربران خود انجام داده‌اند.
با وجود این، بسیاری از برنامه‌ها اطلاعات ابطال گواهی‌ها را به صورت خودکار دریافت نمی‌کنند. چنین نرم‌افزارهایی برای جلوگیری از اعتماد به گواهی‌های میانی آسیب‌دیده به به‌روزرسانی امنیتی نیاز دارند.
موزیلا اکنون با eMudhra و سایر نهادهای مسئول زیرساخت اعتماد دیجیتال همکاری می‌کند تا علت اصلی رخداد مشخص شود. جکسون تأکید کرده است که تاکنون شواهدی از آسیب دیدن سایر مراجع صدور گواهی دیجیتال پیدا نشده است.
گوگل نیز تقریبا هم‌زمان با موزیلا از این رخداد مطلع شد و در کمتر از دو ساعت اقدامات حفاظتی را انجام داد. تیم کروم پس از بررسی سایر گواهی‌های موجود در مخزن ریشه خود، مورد مشابه دیگری شناسایی نکرد.
فهرست گواهی‌های آسیب‌دیده و سابقه تهدیدهای مشابه
بر اساس اطلاعات منتشرشده، شش گواهی TLS آسیب‌دیده زیرمجموعه مرجع ریشه emSign Root TLS CA – G3 هستند. این گواهی‌ها عبارت‌انداز:
- EM DV TLS CA – G3B
- EM DV TLS CA – G3C
- EM OV TLS CA – G3B
- EM OV TLS CA – G3C
- EM EV TLS CA – G3B
- EM EV TLS CA – G3C
دو گواهی دیگر نیز برای امضای کدهای نرم‌افزاری استفاده می‌شوند و زیرمجموعه مرجع emSign Root CS CA – G3 قرار دارند:
- EM OV CS CA – G3B
- EM OV CS CA – G3C
همچنین گوگل با توسعه‌دهندگان سامانه‌های ثبت شفافیت گواهی همکاری می‌کند تا پذیرش گواهی‌های وابسته به مراجع میانی آسیب‌دیده متوقف شود.
رخدادهای مشابه پیش‌تر نیز زیرساخت اعتماد اینترنت را تحت تأثیر قرار داده‌اند. در سال ۲۰۱۱، مهاجمان با نفوذ به شرکت هلندی DigiNotar توانستند ده‌ها گواهی دیجیتال جعلی صادر کنند.
در سال ۲۰۱۷، گوگل و موزیلا به دلیل مشکلات مکرر در صدور گواهی‌های دیجیتال سیمانتک، اقداماتی برای لغو اعتماد به گواهی‌های این شرکت انجام دادند. سیمانتک سرانجام کسب‌وکار صدور گواهی دیجیتال خود را به DigiCert فروخت.
گوگل در سال ۲۰۲۵ نیز اعلام کرد که به دلیل نگرانی درباره اعتبار فرایندهای عملیاتی شرکت‌های Chungwa و Netlock، دیگر به گواهی‌های آنها اعتماد نخواهد کرد.
رخداد اخیر eMudhra اهمیت محافظت از کلیدهای خصوصی و به‌روزرسانی مستمر نرم‌افزارها را برجسته می‌کند. کارشناسان امنیتی توصیه می‌کنند که کاربران برای کاهش خطر سوءاستفاده احتمالی، مرورگرها و سیستم‌عامل‌های خود را به آخرین نسخه ارتقا دهند.
بیشتر بخوانید: هشدار مایکروسافت درباره سوءاستفاده از آسیب‌پذیری Zimbra
